تكديس الأسماء المستعارة

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

حقل verify يتحقق من رمز سري والخادم يحد المعدل بعد الطلبات لا المحاولات بالأسماء المستعارة تضع عشرات محاولات verify في طلب واحد فتجرب كل الاحتمالات دون أن يحسبها الحد

ما الذي تراه أمامك

مستكشف GraphQL. verify code يعيد accepted أو rejected والرمز رقمان الحد يسمح بعدد قليل من الطلبات لكن الطلب الواحد قد يحمل مئة محاولة بالأسماء المستعارة

الهدف

خمن الرمز السري في عدد قليل من الطلبات متجاوزا الحد

متى يعتبر محلولا

خمنت الرمز في طلب واحد

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب verify بعدة أسماء مستعارة في طلب واحد
لاحظ أن كل الأسماء نفذت في طلب واحد
الحد يحسب الطلبات لا المحاولات
غط كل الرموز الممكنة بالأسماء المستعارة في طلب واحد

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

الحد يحسب الطلبات بينما GraphQL ينفذ عدة حقول في الطلب الواحد فالأسماء المستعارة تضاعف العمل دون زيادة عدد الطلبات الحل تحديد تعقيد الاستعلام وعدد الحقول وعمقه لا عدد الطلبات فقط

السبب الجذري

الحد مبني على عدد الطلبات بينما الطلب الواحد ينفذ حقولا كثيرة الجذر عدم تحديد تعقيد الاستعلام وتكرار الحقول

كيف يصلح الكود

حدد تعقيد الاستعلام وعدد الحقول المتكررة لا عدد الطلبات وحده

الكود المصاب

// Rate limit counts requests; one request can alias verify a hundred times.
rateLimit({ perRequest: true });

الكود الآمن

// Cost-based limiting: cap total field count / complexity per request, and count each verify.
costLimit({ maxComplexity: 20, fieldCost: { verify: 1 } });

الأثر في الواقع

تكديس الأسماء المستعارة يتجاوز حدود المعدل ويمكن التخمين والإغراق في عملية واحدة

كيف يكتشفها المدافعون

المدافع يحد تعقيد الاستعلام وعدد الحقول المتكررة والعمق ويرصد طلبات فيها استدعاءات كثيرة لنفس الحقل

العودة إلى الدرس